https://blog.clarysec.com/fi/categories/frameworks/Recent content in Frameworks on ClarysecHugofiMon, 11 Aug 2025 14:30:00 +0000https://blog.clarysec.com/fi/posts/nist-cybersecurity-framework-overview/Mon, 11 Aug 2025 14:30:00 +0000https://blog.clarysec.com/fi/posts/nist-cybersecurity-framework-overview/<p>NIST Cybersecurity Framework (CSF) on noussut yhdeksi maailman laajimmin käyttöönotetuista kyberturvallisuuden viitekehyksistä. Se kehitettiin alun perin kriittistä infrastruktuuria varten, mutta nykyisin kaikenkokoiset organisaatiot hyödyntävät sitä kyberturvallisuusriskien hallinnan parantamiseen.</p> <h2 id="mikä-nist-cybersecurity-framework-on">Mikä NIST Cybersecurity Framework on?</h2> <p>NIST CSF on vapaaehtoinen viitekehys, joka tarjoaa organisaatioille yhteisen kielen ja järjestelmällisen menetelmän kyberturvallisuusriskien hallintaan. Se on suunniteltu joustavaksi, kustannustehokkaaksi ja eri toimialoille soveltuvaksi.</p> <h3 id="viitekehyksen-rakenne">Viitekehyksen rakenne</h3> <p>NIST CSF rakentuu viiden ydintoiminnon ympärille:</p> <h4 id="1-tunnista-id">1. Tunnista (ID)</h4> <ul> <li><strong>Omaisuudenhallinta</strong>: ymmärrys siitä, mitä on suojattava</li> <li><strong>Liiketoimintaympäristö</strong>: organisaation tehtävän ja sidosryhmien ymmärtäminen</li> <li><strong>Hallintamalli</strong>: toimintaperiaatteet, menettelyt ja prosessit kyberturvallisuusriskien hallintaan</li> <li><strong>Riskien arviointi</strong>: järjestelmiin, henkilöstöön, omaisuuseriin, tietoihin ja kyvykkyyksiin kohdistuvien kyberturvallisuusriskien ymmärtäminen</li> <li><strong>Riskienhallintastrategia</strong>: prioriteetit, rajoitteet, riskinsietokyky ja oletukset</li> </ul> <h4 id="2-suojaa-pr">2. Suojaa (PR)</h4> <ul> <li><strong>Identiteetin- ja pääsynhallinta</strong>: omaisuuseriin ja resursseihin pääsyn hallinta</li> <li><strong>Tietoisuus ja koulutus</strong>: henkilöstön kyberturvallisuusriskitietoisuuden varmistaminen</li> <li><strong>Tietojen suojaus</strong>: tietojen ja tallenteiden suojaaminen niiden riskitason mukaisesti</li> <li><strong>Tietojen suojausprosessit ja -menettelyt</strong>: tietoturvaperiaatteet ja -menettelyt</li> <li><strong>Ylläpito</strong>: järjestelmien ylläpito ja korjaaminen</li> <li><strong>Suojaava teknologia</strong>: tekniset tietoturvaratkaisut</li> </ul> <h4 id="3-havaitse-de">3. Havaitse (DE)</h4> <ul> <li><strong>Poikkeamat ja tapahtumat</strong>: poikkeavan toiminnan nopean havaitsemisen varmistaminen</li> <li><strong>Tietoturvan jatkuva seuranta</strong>: järjestelmien ja verkkojen seuranta tietoturvatapahtumien varalta</li> <li><strong>Havaitsemisprosessit</strong>: havaitsemisprosessien ylläpito ja testaus</li> </ul> <h4 id="4-reagoi-rs">4. Reagoi (RS)</h4> <ul> <li><strong>Reagoinnin suunnittelu</strong>: asianmukaisten reagointisuunnitelmien laatiminen ja toteuttaminen</li> <li><strong>Viestintä</strong>: reagointitoimien koordinointi sidosryhmien kanssa</li> <li><strong>Analyysi</strong>: sen varmistaminen, että reagointitoimet perustuvat analyysiin ja forensiikkaan</li> <li><strong>Lieventäminen</strong>: kyberturvallisuustapahtumien vaikutusten rajaaminen</li> <li><strong>Parannukset</strong>: opittujen asioiden sisällyttäminen reagointistrategioihin</li> </ul> <h4 id="5-palaudu-rc">5. Palaudu (RC)</h4> <ul> <li><strong>Palautumisen suunnittelu</strong>: asianmukaisten palautumissuunnitelmien laatiminen ja toteuttaminen</li> <li><strong>Parannukset</strong>: opittujen asioiden sisällyttäminen palautumisstrategioihin</li> <li><strong>Viestintä</strong>: palautumistoimien koordinointi sidosryhmien kanssa</li> </ul> <h2 id="toteutustasot">Toteutustasot</h2> <p>Viitekehys määrittää neljä toteutustasoa, jotka kuvaavat, missä määrin organisaation kyberturvallisuusriskien hallintakäytännöt ilmentävät viitekehyksessä määriteltyjä ominaisuuksia:</p>